Datenschutzerklärung

Die im Impressum genannte Stelle.

Diese Anwendung belegt Besuche an bestimmten Orten. Dafür wird dein Standort verarbeitet, und zwar nur dann, wenn du ihn freigibst.

• Beim Einsammeln eines Fundstücks wird deine Position an den Server übertragen, um zu prüfen, ob du am Ort bist. Gespeichert wird das Ergebnis dieser Prüfung, nicht deine Wegstrecke.
• Solange die Karte offen ist, wird dein Standort etwa alle zehn Sekunden an den Server übertragen. Er antwortet mit den Suchzonen in deiner Nähe. Das muss auf dem Server geschehen, weil die genaue Position eines Fundstücks ihn nie verlässt — sonst stünde die Lösung der Suche in deinem Browser.
• Es gibt keine Bewegungsaufzeichnung. Keine der übertragenen Positionen wird gespeichert — weder beim Einsammeln noch beim Belegen eines Besuchs noch auf der Karte. Festgehalten wird nur, wie weit du vom Ort entfernt warst und wie genau die Messung war. Wo du dich zwischen zwei Fundorten aufgehalten hast, steht nirgends.

Du erteilst die Einwilligung beim Mitmachen, mit einem eigenen Häkchen neben der Zustimmung zu den Teilnahmebedingungen. Das Häkchen nennt die Zwecke; ohne es fragen wir deinen Standort gar nicht erst ab — auch der Dialog deines Browsers oder Telefons erscheint dann nicht.

Zwei Dinge stehen dabei nebeneinander: Der Zugriff auf den Standortsensor deines Geräts stützt sich auf § 25 Abs. 1 TDDDG, die anschließende Verarbeitung des Wertes auf deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Beides kannst du jederzeit zurücknehmen — auf der Karte der Suche mit „Standortfreigabe zurücknehmen“. Das ist unabhängig von der Freigabe in deinen Geräteeinstellungen: Dort nimmst du dem Browser die Erlaubnis, hier nimmst du sie uns.

Zum Einsammeln eines Fundstücks brauchen wir deinen Standort. Ohne ihn lässt sich nicht prüfen, ob du am Ort bist, und das Einsammeln wird abgelehnt — das ist der Zweck der Anwendung und keine Nebenwirkung.

Einen Besuch zu belegen geht auch ohne. Manche Suchen lassen den Code am Fundort allein genügen; dann bleibt dein Standort ungefragt, und der Besuch wird als schwächerer Beleg vermerkt.

Für die Teilnahme brauchst du ein Konto: E-Mail-Adresse, ein von dir gewählter Anzeigename und ein Passwort (verschlüsselt gespeichert, für uns nicht lesbar). Optional ein Profilbild.

Je Kampagne wird gespeichert, welche Fundstücke du eingesammelt hast und wann du zuletzt aktiv warst. Der Anzeigename erscheint in der Rangliste dieser Kampagne.

Bietet eine Kampagne es an, kannst du ein Bild mit deinem Fundstück machen: im Browser ein Selbstbild, in der App ein Foto des Fundstücks an seinem Ort. Dafür fragt dein Browser oder die App dich nach der Kamera; ohne deine Freigabe passiert nichts, und ohne das Bild bleibt dir das Fundstück trotzdem.

Das Bild entsteht auf deinem Gerät und bleibt dort. Es wird nicht hochgeladen, nicht gespeichert und nicht angesehen — was damit geschieht, entscheidest du beim Teilen oder Sichern.

Gespeichert wird bei uns ein Zeitpunkt je Teilnahme — je einer fürs Teilen und fürs Sichern: dass es ein Bild gab, nicht welches. Der Auftraggeber sieht daraus nur zwei Anzahlen. Grundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), erteilt in dem Moment, in dem du das Bild teilst oder sicherst. In der App gibt es nur das Teilen, und gezählt wird es erst, wenn du im Teilen-Menü ein Ziel wählst.

Wir setzen die folgenden Auftragsverarbeiter ein (Art. 28 DSGVO):

• Supabase — Datenbank, Anmeldung und Dateispeicher. Serverstandort eu-central-1 (Frankfurt am Main).
• Railway — Betrieb der Anwendung. Serverstandort Amsterdam, Niederlande.
• Stripe — Bezahlvorgänge der Auftraggeber. Serverstandort Vereinigte Staaten. Betroffen sind nur Daten der zahlenden Unternehmen, keine Teilnehmerdaten: Die Kasse liegt auf einer eigenen Seite von Stripe, und zurück kommen bei uns nur Kennung, Betrag und Zeitpunkt.
• Brevo — Versand der E-Mails im Melde- und Abhilfeverfahren. Serverstandort Europäische Union. Betroffen sind die Adressen von Meldern und Auftraggebern, keine Teilnehmerdaten: Anmeldemails an Teilnehmer versendet Supabase.

Sitz in den Vereinigten Staaten: Supabase, Railway und Stripe. Bei US-Unternehmen mit europäischem Serverstandort (Supabase und Railway) ist ein Zugriff US-amerikanischer Behörden nach dem CLOUD Act nicht vollständig auszuschließen. Für Supabase: Übermittlung auf Grundlage von Standardvertragsklauseln. Für Stripe: Übermittlung auf Grundlage des Angemessenheitsbeschlusses (EU) 2023/1795 (EU-U.S. Data Privacy Framework).

Die Karte lädt Kacheln von einem Kartendienst. Dabei wird deine IP-Adresse an dessen Server übertragen. Welcher Dienst das ist, legt der Auftraggeber der jeweiligen Kampagne fest; ohne eigene Angabe ist es OpenStreetMap.

Kontodaten bleiben, bis du dein Konto löschst. Das geht jederzeit selbst, unter Dein Konto.

Beim Löschen werden deine Teilnahmedaten für den Wirkungsnachweis auf Zahlen ohne Personenbezug verdichtet: Der Veranstalter behält, wie oft ein Ort besucht wurde — nicht, von wem. Solange du dein Konto behältst, bleiben deine Teilnahmedaten bei deinem Konto.

Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch (Art. 15–21 DSGVO). Dazu das Recht, dich bei einer Aufsichtsbehörde zu beschweren.

Löschung und Profilbild erledigst du selbst unter Dein Konto. Für alles Übrige wende dich an die im Impressum genannte Stelle.

Es findet keine Auswertung zu Werbezwecken statt, es werden keine Daten an Dritte verkauft, und es sind keine Tracking-Dienste eingebunden.